¿Cada Cuánto Hay que Cambiar la Contraseña?

Durante años, la norma en empresas y servicios online fue clara: cambia tu contraseña cada 90 días. Muchos todavía lo hacen. Sin embargo, las principales guías de ciberseguridad han dado un giro completo: hoy recomiendan no obligar a cambiar contraseñas de forma periódica. ¿Por qué? ¿Y cuándo sí debes cambiarla? Te lo explicamos.

La respuesta corta

No necesitas cambiar una contraseña segura por calendario. Debes cambiarla cuando haya un motivo concreto: una filtración de datos, una sospecha de acceso no autorizado, si la has compartido o si es débil o repetida. Si tu contraseña es larga, aleatoria, única y tienes activada la verificación en dos pasos, puede seguir siendo válida durante años.

Qué dicen los expertos

El cambio de criterio viene, sobre todo, de las directrices de identidad digital del NIST (Instituto Nacional de Estándares y Tecnología de EE. UU.), publicadas en su documento SP 800-63B y que sirven de referencia en todo el mundo. Sus recomendaciones sobre contraseñas incluyen:

• No exigir cambios periódicos de contraseña sin motivo.
• Exigir el cambio cuando haya indicios de compromiso, por ejemplo si la contraseña aparece en una filtración.
• Priorizar la longitud sobre las reglas de composición (obligar a mayúsculas, números y símbolos).
• Comprobar las contraseñas nuevas contra listas de contraseñas filtradas y comunes.
• Permitir contraseñas largas y el uso de gestores de contraseñas (pegar contraseñas, autocompletar).

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) y Microsoft, en sus recomendaciones para administradores, han defendido lo mismo: la caducidad obligatoria hace más mal que bien.

¿Por qué cambiar la contraseña cada 90 días es contraproducente?

La idea parece lógica: si alguien roba tu contraseña, el cambio periódico limita el tiempo que puede usarla. El problema es cómo reaccionamos las personas ante esa obligación:

• Creamos contraseñas predecibles: Verano2026! se convierte en Otono2026!, y Clave01 en Clave02. Los atacantes conocen estos patrones y los prueban primero.
• Elegimos contraseñas más débiles: si sabes que tendrás que memorizar otra en tres meses, tiendes a escoger algo fácil.
• Las apuntamos en sitios inseguros: notas adhesivas, archivos de texto o el bloc de notas del móvil.
• No protege frente a la mayoría de ataques: un atacante que roba una contraseña suele usarla en minutos u horas, no espera tres meses.

En resumen, la caducidad obligatoria empuja a contraseñas peores sin frenar los ataques reales. Puedes ver ejemplos de este tipo de contraseñas, y lo poco que tardan en romperse, en nuestra guía de ejemplos de contraseñas seguras y débiles.

Cuándo SÍ debes cambiar tu contraseña

Cambia una contraseña de inmediato en cualquiera de estas situaciones:

1. El servicio ha sufrido una filtración de datos, aunque te digan que las contraseñas estaban cifradas.
2. Tu email aparece en una brecha al comprobarlo en servicios como Have I Been Pwned o en las alertas de tu gestor de contraseñas. Te explicamos cómo hacerlo en cómo saber si tu contraseña ha sido hackeada.
3. Notas actividad sospechosa: inicios de sesión que no reconoces, correos enviados que no has escrito, cambios en la configuración o avisos de "nuevo dispositivo".
4. Has introducido la contraseña en una web sospechosa tras pinchar en un enlace de un correo o SMS.
5. La has compartido con alguien (una expareja, un antiguo compañero de piso o de trabajo).
6. La reutilizas en varios sitios. Basta con que uno se filtre para que todos queden expuestos.
7. Es débil: corta, con palabras del diccionario, nombres o fechas. Puedes comprobarlo con nuestro verificador de contraseñas.
8. Has usado un ordenador o dispositivo que no es de confianza, o tu equipo ha tenido malware.
9. Cambias el router o te mudas: buen momento para revisar la contraseña del WiFi y la del panel de administración del router.

Qué hacer en lugar de cambiarla cada 90 días

La seguridad moderna se apoya en hábitos más eficaces que la caducidad:

• Usa contraseñas largas y aleatorias: 16 caracteres o más, creadas con un generador de contraseñas, o una frase de contraseña de 5 palabras o más si tienes que memorizarla.
• Una contraseña distinta para cada servicio: es lo que limita el daño de una filtración.
• Guárdalas en un gestor de contraseñas: te avisará si alguna aparece en una brecha. Tienes opciones en nuestra comparativa de gestores de contraseñas gratis.
• Activa la verificación en dos pasos: aunque roben tu contraseña, no podrán entrar. Mira cómo activar la 2FA en tus cuentas principales.
• Pásate a passkeys donde sea posible: no caducan porque no se pueden robar del servidor ni entregar en una web falsa. Más información en qué son las passkeys.
• Revisa tus contraseñas una vez al año: no para cambiarlas todas, sino para detectar las débiles, repetidas o antiguas y sustituir solo esas.

¿Y si mi empresa me obliga a cambiarla?

Muchas organizaciones mantienen políticas de caducidad por inercia o por requisitos de auditorías antiguas. Si es tu caso, la mejor estrategia es generar cada vez una contraseña completamente nueva y aleatoria (nunca la anterior con un número más) y guardarla en un gestor. Si tienes capacidad de decisión en tu empresa, merece la pena revisar la política: sustituir la caducidad por contraseñas largas, comprobación contra listas de filtradas y autenticación multifactor mejora la seguridad y reduce las llamadas al soporte.

Conclusión

Cambiar la contraseña cada pocos meses "por si acaso" ya no es la recomendación de los expertos. Lo que de verdad protege tus cuentas es tener contraseñas largas, aleatorias y únicas, guardadas en un gestor, con verificación en dos pasos, y cambiarlas sin demora cuando hay una señal de alarma. Menos cambios, pero mejores contraseñas.